Nombre: Trojan.Ransom
Tipo: Ransomware – «Secuestrador»
Alias: Trojan-Ransom.Win32.Chameleon.mw, Trojan-Ransom.Win32.PornoBlocker.jtg, bunda.exe, Trojan.Chameleon, Win32.HmBlocker, Trojan.Win32.Ransom!IK. Trojan.Win32.Ransom, Win32/LockScreen
El “Virus de la Policía” también conocido como “Virus Ukash” se ha convertido una de las plagas más insidiosas de los últimos tiempos. Cientos de usuarios en España, Europa y Latinoamérica, han visto cómo su ordenador se bloqueaba nada más iniciarlo y muestra un mensaje que parece provenir del Cuerpo Nacional de Policía, que con la excusa de haberse producido accesos a páginas que contienen pornografía infantil solicita cierta cantidad de dinero para desbloquearlo.
El presente bloqueo ha sido realizado para prevenir la posibilidad de difusión de dichos materiales desde su ordenador en internet.
Para desbloquear su ordenador, usted ha de pagar una multa de 100 euros! La multa ha de ser pagada antes de 24 hrs desde el momento del bloqueo de su ordenador! En caso de impago, todos los datos de su ordenador serán eliminados!”
Aviso al usuario de la Policía Nacional Española
Las primeras variantes del “virus de la policía” (Trojan.Ransom) fueron reportadas por Kaspersky en el mes de Marzo 2011 y estas decían provenir de la policía Alemana (Federal German Police BKA). Durante el mes de Junio 2011 se reportaba la primera variante en idioma español supuestamente proveniente de la policía nacional Española, se extendía también hacia otros países Europeos y de Latinoamérica por el momento solo a la Policía Federal Argentina… Ver la: Cronología del “Virus de la Policía”
Recolección de las imágenes del “Virus de la Policía” en todo el mundo
Véalas en nuestro álbum del Facebook oficial de @InfoSpyware
Herramientas necesarias:
|
Al infectarnos con el “virus de la policía” se crea una nueva amenaza para eliminar TaskManager y suspender Windows Explorer. Pero antes de hacerlo, el malware toma el control del shell predeterminado de Windows dentro de la llave de registros
(HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon)
y reemplaza explorer.exe por el nombre aleatorio del archivo infectado.
Después inicia un bucle infinito y trata de destruir el proceso “taskmgr.exe” si se está ejecutando. También suspende «explorer.exe» cada 100 milisegundos para bloquear las interacciones del usuario.
Pasos para la eliminación:
|
Descargar PoliFix v2.0.6 (by InfoSpyware) [Update 30 de Agosto 2012]
Tal como documentábamos en la «Cronología del “Virus de la Policía” desde el mes de Febrero del 2012, comenzaron a aparecer nuevas variantes de este ransomware que impide al usuario el poder acceder a su equipo en «Modo Seguro» / «Modo a prueba de Fallos» (F8), por lo que no se pueden seguir los pasos descriptos arriba para su eliminación.
En caso de no poder ingresar en su equipo en «Modo Seguro (F8)» es necesario crear un disco de rescate con el que posteriormente analizar el equipo. Por favor, sigue los pasos que se indican a continuación:
Pasos para la eliminación:
|
Esto es una guía de esfuerzo personal. Úsela bajo su propio riesgo.
Forospyware.com no se hace responsable de los problemas que pueden ocurrir usando esta información. Si necesita ayuda personalizada, puede pegar su log de HijackThis en el Foro Oficial de HijackThis en español
